นโยบายความปลอดภัยในการรักษาข้อมูลส่วนบุคคล

พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (Personal Data Protection Act: PDPA)

ของ บริษัท เอ็ม อี ซี วิศวกรรม จํากัด

วัตถุประสงค์

เพื่อคุ้มครองข้อมูลส่วนบุคคล ของพนักงานบริษัท เอ็ม อี ซี วิศวกรรม จํากัด รวมถึงข้อมูลส่วนบุคคลของ

ลูกค้า ที่ปรึกษาโครงการ คู่ค้าทางธุรกิจ และผู้รับเหมา ซึ่งหมายถึง ข้อมูลใดๆ ที่ทําให้สามารถระบุตัวบุคคลนั้นได้ ไม่

ว่าจะทางตรงหรือทางอ้อม โดยมาตรการความปลอดภัยฯ นี้จะเน้นการสร้างมาตรฐานการรักษาข้อมูลส่วนบุคคลให้

ปลอดภัย และนําไปใช้ให้ถูกวัตถุประสงค์ตามคํายินยอมที่เจ้าของข้อมูลส่วนบุคคลอนุญาต โดยกฎหมาย

ผู้มีส่วนเกี่ยวข้องในมาตรการความปลอดภัยในการรักษาข้อมูลส่วนบุคคลฯ

1.เจ้าของข้อมูล หมายถึง เจ้าของข้อมูลส่วนบุคคล ซึ่งทําให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือทางอ้อม

2.ผู้เก็บรวบรวมข้อมูล ประกอบด้วย

2.1.ผู้ควบคุมข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งมีอํานาจหน้าที่ตัดสินใจ เกี่ยวกับการเก็บ

รวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคล โดยจะให้มีการออกเอกสารสัญญาที่จะไม่เปิดเผยข้อมูล (NDA : Non-disclosure

Agreement)แก่เจ้าของข้อมูล ในการขอใช้ข้อมูลส่วนบุคคล

2.2.ผู้ประมวลผลข้อมูลส่วนบุคคล หมายถึง บุคคลหรือนิติบุคคลซึ่งดําเนินการเกี่ยวกับ การเก็บรวบรวม ใช้

หรือเปิดเผยข้อมูลส่วนบุคคล ตามคําสั่งหรือในนามของผู้ควบคุมข้อมูลส่วนบุคคล ทั้งนี้บุคคลหรือนิติบุคคลซึ่ง

ดําเนินการดังกล่าวไม่เป็นผู้ควบคุมข้อมูลส่วนบุคคล

2.3.จนท.คุ้มครองข้อมูลส่วนบุคคล (DPO) หมายถึง บุคคลหลักที่มีบทบาทสําคัญในการดูแลรักษาข้อมูลส่วน

บุคคลทั้งหมดขององค์กรไม่ว่าจะเป็นทั้งข้อมูลส่วนบุคคลทั้งภายใน เช่น (ข้อมูลพนักงาน) หรือ ภายนอก (ข้อมูลลูกค้า ,

ที่ปรึกษาโครงการ ,คู่ค้าทางธุรกิจ และผู้รับเหมา) ตั้งแต่การเก็บจัดเก็บรวบรวม, เปิดเผย, และนําข้อมูลไปใช้รวมไปถึง

การกําหนดทิศทางการใช้ข้อมูลส่วนบุคคลให้ปลอดภัยและสอดคล้องตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล ซึ่งผู้

ควบคุมข้อมูลส่วนบุคคล จะเป็นผู้ประกาศแต่งตั้งให้ทราบ

สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. สิทธิได้รับการแจ้งให้ทราบ

ผู้ควบคุมข้อมูลส่วนบุคคล จะต้องแจ้งรายละเอียดและวัตถุประสงค์ในการเก็บรวบรวมข้อมูล การใช้ หรือ

เปิดเผยข้อมูลส่วนบุคคลให้เจ้าของข้อมูลทราบก่อนหรือขณะเก็บรวบรวมข้อมูล โดยเจ้าของข้อมูลมีสิทธิที่จะทราบว่าจะ

จัดเก็บข้อมูลอะไรบ้าง รวมถึงระยะเวลาการจัดเก็บ สถานที่ และวิธีการติดต่อกับผู้ควบคุมข้อมูลส่วนบุคคล โดยผู้

ควบคุมข้อมูลส่วนบุคคล

2. สิทธิในการแก้ไขข้อมูล

เจ้าของข้อมูลมีสิทธิที่จะขอแก้ไขข้อมูลส่วนบุคคลของตนเองให้มีความถูกต้อง เป็นปัจจุบัน และไม่ก่อให้เกิด

ความเข้าใจผิดได้ โดยการแก้ไขนั้นจะต้องเป็นไปด้วยความสุจริต และไม่ขัดต่อหลักกฎหมาย

3. สิทธิในการเพิกถอนความยินยอม

กรณีเจ้าของข้อมูลเคยให้ความยินยอมในการใช้ข้อมูลไป ต่อมาเกิดเปลี่ยนใจ ก็สามารถยกเลิกความยินยอม

นั้นเมื่อไหร่ก็ได้ โดยการยกเลิกจะต้องไม่ขัดต่อข้อจํากัดสิทธิในการถอนความยินยอมทางกฎหมาย หรือสัญญาที่ให้

ประโยชน์แก่เจ้าของข้อมูลส่วนบุคคลที่ได้ให้ความยินยอมไปก่อนหน้านี้

4. สิทธิในการขอระงับการใช้ข้อมูล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอให้ผู้ควบคุมข้อมูลระงับการใช้ข้อมูลได้ ไม่ว่าจะในกรณีที่เกิดเปลี่ยนใจไม่

ต้องการให้ข้อมูลแล้ว หรือเปลี่ยนใจระงับการทําลายข้อมูลเมื่อครบกําหนดที่ต้องทําลาย

5. สิทธิในการเข้าถึง ขอสําเนา หรือให้เปิดเผยถึงการได้มาของข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลมีสิทธิขอเข้าถึงและขอรับสําเนาข้อมูลส่วนบุคคลที่เกี่ยวกับตนเองจากผู้ควบคุมข้อมูล

ส่วนบุคคล หรือขอให้เปิดเผยถึงการได้มาซึ่งข้อมูลส่วนบุคคลที่ตัวเองอาจไม่แน่ใจว่าได้ให้ความยินยอมไปหรือไม่ โดย

สิทธิการเข้าถึงข้อมูลนั้นต้องไม่ขัดต่อกฎหมายหรือคําสั่งศาล และการใช้สิทธินั้นต้องไม่ละเมิดสิทธิหรือเสรีภาพของ

บุคคลอื่น

6. สิทธิในการขอรับและให้โอนย้ายข้อมูลส่วนบุคคล

ในกรณีที่เจ้าของข้อมูลต้องการให้ผู้ควบคุมข้อมูลส่วนบุคคลรายแรกโอนข้อมูลส่วนบุคคลไปยังผู้ควบคุมราย

อื่น ก็สามารถขอให้ผู้ควบคุมรายแรกจัดทําข้อมูลที่อ่านได้ง่ายหรือจัดทําข้อมูลในรูปแบบที่เข้าถึงได้ด้วยวิธีการอัตโนมัติ

และโอนไปยังผู้ควบคุมอีกรายได้ ซึ่งข้อมูลที่โอนไปนั้น เจ้าของข้อมูลก็ยังขอรับข้อมูลนั้นจากผู้ควบคุมข้อมูลรายแรกได้

อีกด้วย แต่จะต้องไม่ขัดต่อกฎหมาย สัญญา หรือละเมิดสิทธิเสรีภาพของผู้อื่น

7. สิทธิในการขอคัดค้านการเก็บรวบรวมใช้ หรือเปิดเผยข้อมูลส่วนบุคคล

เจ้าของข้อมูลส่วนบุคคลสามารถคัดค้านการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลส่วนบุคคลได้ โดยร้องขอต่อผู้

ควบคุมข้อมูลเมื่อไรก็ได้ โดยร้องขอผ่านแบบฟอร์มที่ผู้ให้บริการจัดไว้ หรือติดต่อกับผู้ดูแลระบบ

8. สิทธิในการขอให้ลบ หรือทําลายข้อมูลส่วนบุคคล

ในกรณีที่ข้อมูลส่วนบุคคลหมดความจําเป็นในการเก็บรักษาไว้ตามวัตถุประสงค์ หรือผู้ควบคุมนําข้อมูลไป

เผยแพร่ในที่สาธารณะ หรือข้อมูลนั้นสามารถเข้าถึงได้ง่าย เจ้าของข้อมูลมีสิทธิขอให้ผู้ควบคุมลบหรือทําลายข้อมูลส่วน

บุคคล หรือทําให้ข้อมูลส่วนบุคคลเป็นข้อมูลที่ไม่สามารถระบุตัวตนได้ โดยผู้ควบคุมข้อมูลต้องเป็นผู้รับผิดชอบ

ค่าใช้จ่ายและการดําเนินการนั้น

9. สิทธิในการร้องเรียน

เจ้าของข้อมูลมีสิทธิร้องเรียนต่อพนักงานเจ้าหน้าที่และคณะกรรมการตาม PDPA ได้ ถ้าผู้ควบคุม ผู้ประมวลผล

รวมทั้งลูกจ้างหรือผู้รับจ้างของผู้ควบคุม ผู้ประมวลผล ฝ่าฝืนหรือไม่ปฏิบัติตามกฎหมาย รวมถึงมีสิทธิในการเรียกค่า

สินไหมทดแทนทางศาลด้วย

มาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล

บริษัทฯกําหนดมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคล โดยให้เป็นไปตาม มาตรฐานที่กระทรวง

ดิจิทัลเพื่อเศรษฐกิจและสังคมกําหนด เรื่องการเข้าถึงหรือควบคุมการใช้งานข้อมูลส่วนบุคคล (access control) โดย

ประกอบด้วย

1 ให้มีการควบคุมการเข้าถึงข้อมูลส่วนบุคคลและอุปกรณ์ในการจัดเก็บและประมวลผล

2 ให้มีการกําหนดเกี่ยวกับการอนุญาตหรือการกําหนดสิทธิในการเข้าถึงข้อมูลส่วนบุคคล

3 ให้มีการบริหารจัดการการเข้าถึงของผู้ใช้งาน เพื่อควบคุมการเข้าถึงข้อมูลส่วนบุคคลเฉพาะผู้ที่ได้รับอนุญาตแล้ว

4 กําหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน เพื่อป้องกันการเข้าถึงข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาต

5 จัดให้มีวิธีการตรวจสอบย้อนหลังการเข้าถึงข้อมูลส่วนบุคคลใด

6 กําหนดห้ามมิให้มีการเก็บรวบรวม ใช้ หรือ เปิดเผย ข้อมูลส่วนบุคคล โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล

ส่วนบุคคลโดยเด็ดขาด เว้นแต่เป็น การเก็บรวบรวม ใช้ หรือเปิดเผย เพื่อประโยชน์ส่วนรวมหรือเพื่อกิจกรรมใน

ครอบครัวของบุคคลนั้น

7 จัดให้มีระบบการตรวจสอบเพื่อลบหรือทําลายข้อมูลส่วนบุคคลเมื่อพ้นกําหนดระยะเวลาการเก็บรักษา ,ข้อมูลที่ไม่

เกี่ยวข้องเกินความจําเป็น ,เจ้าของข้อมูลส่วนบุคคลร้องถอนความยินยอม

แนวปฏิบัติในกรณีการเก็บข้อมูลที่เคยมีการเก็บอยู่แล้ว

ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล มาตรา 95 กําหนดให้“ข้อมูลส่วนบุคคลที่ผู้ควบคุมข้อมูลส่วนบุคคลได้

เก็บรวบรวมไว้ก่อนวันที่พระราชบัญญัตินี้ใช้บังคับ ให้ผู้ควบคุมข้อมูลส่วนบุคคลสามารถเก็บรวบรวมและใช้ข้อมูลส่วน

บุคคลนั้นต่อไปได้ตามวัตถุประสงค์เดิม ทั้งนี้ ผู้ควบคุมข้อมูลส่วนบุคคลกําหนดวิธีการยกเลิกความยินยอมและเผยแพร่

ประชาสัมพันธ์ให้เจ้าของข้อมูลส่วนบุคคลที่ไม่ประสงค์ให้ผู้ควบคุมข้อมูลส่วนบุคคลเก็บรวบรวมและใช้ข้อมูลส่วนบุคคล

ดังกล่าวด้วยเอกสารแบบฟอร์มขอถอนสิทธิในการเพิกถอนความยินยอม”

มาตรการเก็บรักษาใช้ข้อมูล

1.ประเภทของข้อมูล

1.1.ข้อมูลส่วนบุคคล คือ ข้อมูลเกี่ยวกับบุคคลซึ่งทําให้สามารถระบุตัวบุคคลนั้นได้ ไม่ว่าทางตรงหรือ

ทางอ้อม แต่ไม่รวมถึงข้อมูลของผู้ถึงแก่กรรม ประกอบด้วย

1.1.1.ชื่อ นามสกุล ชื่อเล่น

1.1.2.เลขประจําตัวประชาชน, เลขหนังสือเดินทาง, เลขบัตรประกันสังคม, เลขใบอนุญาตขับขี่, เลขประจําตัวผู้เสียภาษี,

เลขบัญชีธนาคาร, เลขบัตรเครดิต (การเก็บเป็นภาพสําเนาบัตรประชาชนหรือสําเนาบัตรอื่นๆที่ที่ข้อมูลส่วนบุคคล)

1.1.3.ที่อยู่ อีเมล์ โทรศัพท์

1.1.4.ข้อมูลอุปกรณ์หรือเครื่องมือ เช่น IP Address, MAC Address, Cookie ID

1.1.5.ข้อมูลทางชีวมิติ (Bio-metric) ไม่ว่าจะเป็นรูปภาพใบหน้า ลายนิ้วมือ ฟิลม์เอ็กซ์เรย์ ข้อมูลสแกนม่านตา ข้อมูลอัต

ลักษณ์เสียง ข้อมูลพันธุกรรม

1.1.6.ข้อมูลระบุทรัพย์สินของบุคคล เช่นทะเบียนรถ โฉนดที่ดิน

1.1.7.ข้อมูลที่สามารถเชื่อมโยงไปยังข้อมูลข้างต้นได้ เช่น วันเกิด สถานที่เกิด เชื้อชาติ สัญชาติ นํ้าหนัก ส่วนสูง ข้อมูล

ตําแหน่งที่อยู่ ข้อมูลการแพทย์ ข้อมูลการศึกษา ข้อมูลทางการเงิน ข้อมูลการจ้างงาน

1.1.8.ข้อมูลหมายเลขอ้างอิงที่เก็บไว้ในไมโครฟิลม์

1.1.9.ข้อมูลการประเมินผลการทํางานหรือความเห็นของนายจ้างต่อการทํางานของลูกจ้าง

1.1.10.ข้อมูลบันทึกต่างๆที่ใช้ติดตามสตรวจสอบกิจกรรมต่างๆของบุคคล เช่น Log Files

1.1.11.เงินเดือน และเงินได้อื่นๆ ส่วนนบุคคล

1.2 ข้อมูลที่ไม่ใช่ข้อมูลส่วนบุคคล คือ ข้อมูลที่ใช้ระบุเจาะจงตัวบุคคลไม่ได้เช่น

1.2.1.เลขทะเบียบบริษัท

1.2.2.ข้อมูลสําหรับการติดต่อทางธุรกิจที่ไม่ได้ระบุถึงตัวบุคคล เช่น หมายเลขโทรศัพท์ แฟกซ์ที่ทํางาน ที่อยู่สํานักงาน

อีเมล์บริษัท เช่น mecsince1982@gmail.com

1.2.3.ข้อมูลนิรนาม ข้อมูลแฝง ข้อมูลที่ถูกทําให้ไม่สามารถระบุตัวบุคคลได้อีกโดยวิธีทางเทคนิค

1.2.4.ข้อมูลผู้เสียชีวิต

1.2.5.ข้อมูลนิติบุคคล

1.3 เงื่อนไขและระยะเวลาในการเก็บข้อมูล

1.3.1.ข้อมูลส่วนบุคคล สําหรับงานทรัพยากรบุคคล มีการกําหนดระยะเวลาในการจัดเก็บข้อมูลคือ ตลอด

อายุงานที่พนักงานยังคงปฏิบัติงานให้กับบริษัท และเมื่อพนักงานได้สิ้ยสภาพพนักงานกับบริษัทฯแล้ว จะมีการลบ

ข้อมูลส่วนบุคคลพนักงานทิ้งภายใน 5 ปีหลังจากมีการสิ้นสภาพพนักงาน

รูปแบบการจัดเก็บข้อมูลส่วนบุคคล สําหรับงานทรัพยากรบุคคล

1.ใบสมัครที่เป็นแผ่นเอกสาร จัดเก็บเข้าแฟ้มในพื้นที่ ที่ซึ่งต้องได้รับอนุญาตก่อนจากผู้จัดการฝ่ายทรัพยากร

บุคคล และมีการกําหนดอนุญาตการเข้าถึงข้อมูลเฉพาะพนักงานตําแหน่งผู้จัดการฝ่ายทรัพยากรบุคคล ,พนักงาน

บริหารทรัพยากรบุคคลงานเงินเดือน และพนักงานบริหารทรัพยากรบุคคลงานจัดทําค่าแรงโครงการ เท่านั้น

2.ข้อมูลส่วนบุคคลรูปแบบ ไฟล์อิเลคทรอนิคส์ ที่ถูกบันทึกลงในโปรแกรมสําเร็จรูป มีการจัดเก็บข้อมูลผ่าน

ระบบ Cloud ผู้ที่จะเข้าถึงข้อมูลจะต้องได้รับสิทธิจากผู้ควบคุมข้อมูลส่วนบุคคล และให้มีการล๊อคอินเพื่อ ์ ยืนยันผู้ใช้งาน

เข้าสู่ระบบก่อนจะเข้าไปดูข้อมูลส่วนบุคคลได้ โดยที่จะเข้าถึงข้อมูลส่วนนี้ได้ประกอบด้วย

2.1 เจ้าหน้าที่ดูแลระบบ Cloud System

2.2เจ้าหน้าที่ดูแลโปรแกรมสําเร็จรูป

2.3 คณะกรรมการบริหารบริษัทฯ

2.4 ผู้บริหารสูงสุดของแต่ละฝ่าย

2.5 พนักงานบริหารทรัพยากรบุคคลงานจัดทําเงินเดือนและค่าแรง

1.3.2.ข้อมูลส่วนบุคคลของลูกค้า ที่ปรึกษาโครงการ คู่ค้าทางธุรกิจ และผู้รับเหมา สําหรับงานจัดซื้อ

จัดจ้าง งานบัญชีและงานการเงิน มีการเก็บรักษาข้อมูลส่วนบุคคลของลูกค้า ที่ปรึกษาโครงการ คู่ค้าทางธุรกิจ และ

ผู้รับเหมา ทั้งที่เป็นการจัดเก็บทั้งรูปแบบแผ่นเอกสารและไฟล์อิเลคทรอนิคส์ โดยมีกําหนดระยะเวลาในการจัดเก็บ

ข้อมูลคือ 10 ปีและหลังจากครบ 10 ปีแล้ว จึงจะมีการทําลายเอกสารทิ้ง

รูปแบบการจัดเก็บข้อมูลส่วนบุคคล 2 ส่วน

1.เอกสารส่วนบุคคลของลูกค้าและผู้รับเหมา เช่น บัตรประชาชน สําเนาทะเบียนบ้าน หนังสือรับรองบริษัท มี

การจัดเก็บเข้าแฟ้มในพื้นที่ ที่ซึ่งต้องได้รับอนุญาตก่อนจากผู้อํานวยการฝ่ ายบัญชีและการเงิน และมีการกําหนด

อนุญาตการเข้าถึงข้อมูลเฉพาะพนักงานที่ได้รับอนุญาตเท่านั้น

2.ข้อมูลส่วนบุคคลรูปแบบ ไฟล์อิเลคทรอนิคส์ ที่ถูกบันทึกลงในโปรแกรมสําเร็จรูป มีการจัดเก็บข้อมูลผ่าน

ระบบ Cloud ผู้ที่จะเข้าถึงข้อมูลจะต้องได้รับสิทธิจากผู้ควบคุมข้อมูลส่วนบุคคล และให้มีการล๊อคอินเพื่อยืนยันผู้ใช้งาน ์

เข้าสู่ระบบก่อนจะเข้าไปใช้ข้อมูลส่วนบุคคลได้

มาตรการป้องกันและเยียวยา

หากเจ้าของข้อมูลพบว่าผู้ควบคุมข้อมูลส่วนบุคคลมีการ เก็บรวบรวม ใช้ หรือ เปิดเผย ข้อมูลส่วนบุคคล โดย

ไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลควบคุม รวมถึงกรณี ผู้ประมวลผล ลูกจ้างหรือผู้รับจ้าง ฝ่าฝืนหรือไม่

ปฏิบัติตามกฎหมาย เจ้าของข้อมูลมีสิทธิในการร้องเรียนกับเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) โดยเร็วที่สุด

เพื่อที่เจ้าหน้าที่คุ้มครอง ข้อมูลส่วนบุคคลจะทําการตรวจสอบถึงสาเหตุที่มาและระบุจุดต้นเหตุของการรั่วไหล รวมทั้ง

ออกมาตรการเยียวยาเหตุการณ์รั่วไหลของข้อมูล พร้อมทั้งแจ้งแก่เจ้าของข้อมูลส่วนบุคคลหรือสํานักงานคุ้มครอง

ข้อมูลส่วนบุคคลตามที่กฎหมายกําหนดทันที

การทบทวนนโยบายคุ้มครองข้อมูลส่วนบุคคล

บริษัทฯ อาจพิจารณาทบทวนปรับปรุงนโยบายคุ้มครองข้อมูลส่วนบุคคล หรือแนวปฏิบัติได้เป็นครั้งคราว

เพื่อให้สอดคล้องและเป็นไปตามกฎหมาย ทั้งนี้ หากมีการปรับปรุง เปลี่ยนแปลง หรือแก้ไข บริษัทฯ จะประกาศแจ้งให้

พนักงานทุกท่านทราบ

ประกาศ ณ วันที่ 1 พฤษภาคม 2565

…………………………………

ประธานเจ้าหน้าที่บริหาร

 (นางรัมณีย์ อาษารัฐ)

เอกสารอ้างอิง

• พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒
• พระราชกฤษฎีกาก าหนดหน่วยงานและกิจการที่ผู้ควบคุมข้อมูลส่วนบุคคลไม่อยู่ภายใต้บังคับแห่งพระราชบัญญัติ

คุ้มครองข้อมูลส่วนบุคคล พ.ศ. ๒๕๖๒ 2563